如何防止npm update在package-lock.json中添加多余dev:true并单包更新

方案1：精准更新目标包 #

直接执行带参数的更新命令，明确限制变更范围：

npm update bar --save-exact --no-audit --omit=dev

• --save-exact 锁定目标包的更新版本，避免自动升级到更高大版本
• --no-audit 跳过审计流程，防止触发额外的依赖更新
• --omit=dev 排除开发依赖的变更，避免无关包被标记为dev:true

如果需要指定具体修复版本，直接在包名后加版本号：

npm update bar@1.1.1 --save-exact --no-audit --omit=dev

方案2：手动修改锁文件（需确认兼容性） #

1. 在package-lock.json中找到所有bar@1.1.0的条目，将版本号替换为1.1.1
2. 执行以下命令让npm重新校验并生成锁文件的校验信息，不改动实际安装的包：

npm install --package-lock-only

注意：修改前要确认bar@1.1.1与上层依赖foo兼容，避免引入兼容性问题。

方案3：用overrides强制锁定间接依赖版本（npm 8.3+推荐） #

在package.json中添加overrides字段，强制指定bar的修复版本：

{
  "overrides": {
    "bar": "1.1.1"
  }
}

执行npm install后，npm会强制使用指定版本的bar，且只会修改锁文件中bar相关的条目，不会产生其他无关变更。这种方式还能长期锁定版本，避免后续安装时回退到有漏洞的版本。

方案4：清理冗余依赖（辅助优化） #

如果更新后锁文件仍有冗余条目，执行以下命令合并重复依赖，简化锁文件结构：

npm dedupe

内容的提问来源于stack exchange，提问作者Ashish Chinchkhede